RGPD (1/5): quelles données les acteurs de la publicité en ligne collectent-ils en 2021 ?

En réponse au RGPD, entré en vigueur en mai 2018, l’Internet Advertising Bureau (IAB) Europe a introduit le Transparency & Consent Framework (TCF) en avril 2018 afin d’encadrer le recueil du consentement internaute au traitement de leurs données personnelles et sa transmission à travers l’ensemble de la chaîne publicitaire. Critiqué par certains éditeurs et certaines sociétés adtech, le TCF a fait l’objet d’une deuxième version, mise en œuvre officiellement le 15 août 2020.

Il se compose notamment d’un fichier, accessible publiquement et baptisé Global Vendor List (GVL), sur lequel les prestataires de la publicité en ligne déclarent les finalités pour lesquelles ils agissent en tant que responsables de traitement (par opposition au statut de sous-traitant) – créer un profil utilisateur, identifier sa géolocalisation ou son terminal… – et la base légale sur laquelle ils s’appuient pour chacune d’elles – consentement ou intérêt légitime.

“Le TCF est une initiative essentielle et majeure de l’industrie pour répondre aux exigences du RGPD. Il évolue et s’affine mois après mois en concertation entre les acteurs du marché. Toutefois, deux éléments continuent d’attirer notre attention. Premièrement, la CNIL ne l’a pas officiellement validé, ce qui laisse un flou quant à la conformité des actions mises en place dans le cadre de ce dispositif. Deuxièmement, le TCF représente un investissement démesuré pour les éditeurs puisque cela les oblige à décrypter finement les 600 acteurs inscrits sur la Global Vendor List : qualifier leur(s) activité(s) et les finalités demandées, comprendre s’ils opèrent ou non sur le marché français et s’ils travaillent indirectement avec nous via nos partenaires agences, annonceurs et adtech” explique la directrice programmatique, data et partenariats de M6 Publicité, Élise Guyard.

mind Media a déjà étudié ces dernières années les déclarations des prestataires dans la GVL (en juin 2018 et juin 2019). Mais elle s’est sensiblement enrichie avec la deuxième version du TCF : 17 types de finalités et de fonctionnalités y sont désormais déclarés, contre huit auparavant (voir encadré), et 637 acteurs (adnetworks, SSP, DSP, agences, DMP, CMP…) y étaient présents début décembre 2020, dont Google, contre 510 en juin 2019.

Quelles sont les 17 finalités et fonctionnalités ?

La nouvelle version du TCF a clarifié et assouplit les finalités et fonctionnalités déclarées par les  prestataires, puisque le nombre de finalités est passé de cinq à 12 (dix finalités plus deux finalités spéciales), et celui des fonctionnalités de trois à cinq (trois fonctionnalités plus deux fonctionnalités spéciales). Chacune d’elles est désignée par un nom, une description vulgarisée et une description juridique. Pour plus de clarté, nous avons parfois modifié ou simplifié leur appellation (voir l’encadré définitions en fin d’article).

“Les cinq finalités de la première version du TCF manquaient de granularité. Modulo le choix de l’utilisateur, elles autorisaient plusieurs traitements à la fois sans que l’éditeur puisse préciser lesquels étaient interdits sur son site ou son application. Les scinder en 12 traitements plus détaillés leur a permis de mieux contrôler ce que peuvent faire leurs partenaires”,, explique à mind Media Benoît Oberlé, fondateur du data provider Sirdata et vice-président du TCF Steering Group de l’IAB Europe. 

Autre nouveauté de la deuxième version : “les éditeurs ont le pouvoir, en configurant les “publisher restrictions” de leur consent management platform (CMP), de choisir les prestataires avec lesquels ils souhaitent travailler ainsi que la base légale (consentement ou intérêt légitime) sur laquelle ils souhaitent s’appuyer pour les finalités pour lesquelles ils ont le choix”, explique le fondateur de la CMP Didomi, Romain Gauthier. 

Ainsi, les prestataires doivent aussi se prononcer, dans la GVL, quant à la base légale sur laquelle ils s’appuient pour neuf des 10 finalités : toutes sauf le dépôt d’un cookie, pour lequel le consentement est obligatoire. Ils peuvent aussi indiquer si ce choix est “flexible”, c’est-à-dire s’ils sont prêts à adopter l’autre base légale si un éditeur la leur impose dans ses “publisher restrictions”. Cela peut arriver par exemple si un éditeur, dans un pays donné, doit composer avec une transposition particulière d’ePrivacy. “Mais les deux bases légales ne cohabitent évidemment pas sur le site. C’est le choix de l’éditeur qui prévaut”, précise Benoît Oberlé. 

“En théorie, les publisher restrictions permettent aux éditeurs de choisir, prestataire par prestataire, les finalités autorisées.